Hack Qubic : Como a rede salvou 87% dos fundos roubados

Na noite de 17 para 18 de outubro, um atacante esvaziou 1.404 carteiras Qubic, totalizando 2.940 bilhões de QU. A resposta veio em poucas horas: os Computors pararam a rede, congelando no local 87,1% dos fundos roubados, e a MEXC bloqueou em cerca de uma hora a conta que havia recebido o restante. Doze dias depois, a rede está funcionando novamente, 293 bilhões de QU retornaram da exchange para a cadeia e os primeiros proprietários verificados foram reembolsados. A falha não veio do protocolo, mas da geração de seeds em certos dispositivos Apple, e também afeta carteiras intactas.

O que aconteceu na noite de 17 para 18 de outubro?

Um ataque por reconstrução de seeds, executado com transferências assinadas totalmente comuns. Segundo a atualização publicada pela Qubic, algumas seeds foram geradas com entropia insuficiente ao serem criadas em combinações específicas de dispositivo e navegador. Um atacante conseguiu reproduzi-las e assinar transferências válidas de 1.404 identidades em menos de duas horas. Nenhuma transação foi falsificada e o núcleo da rede não foi afetado: a falha está na carteira, onde nasce a seed phrase, não no consenso.

O montante, 2.940 bilhões de QU, equivalia a cerca de 1,4 milhão de dólares na cotação de 18 de outubro (0,000000477 $ por QU segundo CoinGecko), tornando o incidente modesto em valor, mas amplo pelo número de vítimas. A reação foi rápida: os Computors, as 676 máquinas que validam os ticks, coordenaram a paralisação da rede no tick 85.371.949. Nenhuma transação foi processada e 87,1% dos fundos presentes em oito endereços controlados pelo atacante ficaram congelados no local.

Os 12,9% restantes, ou 379 bilhões de QU, foram enviados em duas transações para um único endereço de depósito na MEXC. A exchange congelou a conta receptora cerca de uma hora após a chegada dos fundos e suspendeu depósitos e saques de QUBIC em 18 de outubro a pedido da Qubic. Bitget fez o mesmo no mesmo dia, alegando “manutenção da carteira”. Gate.io mencionou “verificação técnica aprofundada” antes de qualquer retomada.

Onde estão os fundos hoje?

Sob custódia principalmente, e de volta à cadeia para a parte que passou pela MEXC. Durante a pausa, os fundos afetados foram colocados sob custódia protegida, segundo a Qubic. Em 20 de outubro, o quórum dos Computors aprovou o plano de recuperação, a rede retomou e a Qubic anunciou no X que “a rede Qubic está ao vivo novamente”, especificando que os primeiros fundos foram devolvidos aos proprietários verificados, sem informar o montante. Uma enquete comunitária foi realizada previamente, a título consultivo: a decisão ficou com o quórum, conforme as regras da rede.

O desenrolar pode ser verificado no explorador. Em 28 de outubro às 8h07 UTC, no tick 87.353.465, 293.039.994.345 QU retornaram ao endereço que os enviou à MEXC dez dias antes (transação). Esse endereço hoje mostra saldo zero, consistente com a custódia. Os fundos retornados da exchange entram no mesmo processo de reclamação, mas o portal avisa que esse caminho é mais lento e depende da cooperação das autoridades. Se faltar algum remanescente na chegada, a Qubic pretende suprir com uma contribuição comunitária para reembolsar cada usuário afetado.

No mercado, o QUBIC perdeu cerca de 19% entre 18 e 30 de outubro, para uma capitalização aproximada de 57 milhões de dólares (CoinGecko). É impossível isolar a parte do incidente nessa queda, que ocorreu num mercado naturalmente avesso ao risco.

Como recuperar seus QU e quem é reembolsado primeiro?

Através do portal oficial, e somente ele: weak-seed-reclaim.qubic.org. A ferramenta não movimenta fundos, apenas coleta pedidos; cada crédito é decidido e aplicado pelo quórum. Um verificador de endereços permite primeiro saber se uma identidade está na lista de endereços afetados, sem assinatura ou comprovação. O pedido em si é feito em cinco etapas.

1. Informar a identidade afetada e uma identidade de destino nova, criada com uma seed segura em uma carteira atualizada, nunca reutilizando a antiga.
2. Assinar a mensagem exibida na carteira. Em nenhum momento a seed é inserida ou enviada.
3. Anexar provas de propriedade e um e-mail de contato.
4. Guardar o link de acompanhamento, pois nenhuma conta é criada.
5. Opcionalmente, fazer uma verificação de identidade via Didit, que envia para a Qubic apenas o resultado, não os documentos.

Por que provas, se é possível assinar? Porque o atacante detém exatamente a mesma chave que o proprietário: uma assinatura não diferencia ninguém. O portal classifica os comprovantes por força, do recibo de retirada de uma exchange para o endereço afetado (mais forte) à confirmação de acordo OTC, passando por uma origem de financiamento anterior ao incidente; declaração de honra é aceita só como apoio. Casos simples e incontestáveis têm via rápida, casos contestados, frágeis ou volumosos são revisados pelos desenvolvedores do núcleo.

O cronograma é conhecido. Os primeiros retornos, a partir da semana de 26 de outubro, visam casos sem dúvidas: identidades publicadas com assinatura antes do incidente, OTC confirmados pela contraparte, fundos de projetos comunitários conhecidos. Seguem três marcos, em dezembro de 2026, fevereiro de 2027 e abril de 2027, cobrindo todos os pedidos válidos restantes.

Cada pedido aprovado é exibido publicamente (endereço e valor) por sete dias antes do pagamento, e os valores vêm do instantâneo congelado da cadeia, não da solicitação do usuário. Depositar cedo não traz vantagem; uma prova forte sim. Os bloqueios QEarn voltarão em lotes futuros, e ordens QX foram canceladas. Segundo a Qubic, mais de 230 pedidos haviam sido recebidos no final de outubro.

O que devem fazer os detentores que não perderam nada?

Verificar a origem da seed e migrar em caso de dúvida. A correção da versão 4.26.4 impede a criação de seeds fracas, mas não repara as antigas. A Qubic é clara: uma carteira web criada antes dessa versão deve ser tratada como insegura, “even if your funds were never touched“. A mesma orientação vale para usuários do app iOS e da carteira web no iOS, mesmo fora da lista de endereços afetados. Carteiras do app Android não foram reportadas e nenhuma atualização foi necessária.

O portal menciona também uma lista “pendente” para fundos de seeds fracas não esvaziadas, liberadas após verificação. Se sua identidade estiver lá, o procedimento é o mesmo: nova identidade numa carteira atualizada, e pedido pelo portal. E uma regra válida para todos os incidentes desse tipo: a equipe Qubic nunca inicia contato em mensagem privada, jamais pede uma seed e não cobra taxas de recuperação. O suporte é via canal Discord dedicado, mantido por moderadores; Qubic não tem sistema de tickets, limitando fraudes.

O que o incidente diz sobre a Qubic

Duas leituras coexistem e ambas são válidas. A primeira: uma rede capaz de parar em poucas horas por decisão dos validadores salvou 87% dos fundos, enquanto uma cadeia sem esse recurso teria perdido tudo. Já havíamos descrito o papel dos Computors e da prova de trabalho útil; este episódio mostra o lado operacional. A segunda: esse mesmo recurso significa que 676 máquinas podem congelar saldos e reescrever uma situação, o que críticos de paradas de cadeia certamente lembrarão.

Quanto à causa, a Qubic retém detalhes técnicos até o fim da recuperação para não inspirar cópias e promete um relatório completo. A empresa de segurança SlowMist publicou em 20 de outubro uma análise segundo a qual o gerador de seeds da carteira usaria a função Math.random, não criptográfica, cujas saídas transitariam em texto claro em um cabeçalho da rede; seis valores consecutivos seriam suficientes, em prova de conceito, para reconstruir o estado do gerador. A Qubic não confirmou esse cenário, e sua lista de dispositivos afetados, centrada em Safari e iOS, sugere um fator específico dessas plataformas.

Este é também o segundo incidente de segurança do ano: em 13 de julho, a organização GitHub da Qubic havia sido comprometida via token de acesso, sem perda de fundos reportada segundo o post-mortem publicado no dia seguinte.

Os próximos prazos estão definidos: relatório técnico no fim da recuperação; primeira etapa dos reembolsos em dezembro; retomada a anunciar na Bitget e Gate.io, ainda suspensas em 30 de outubro segundo Qubic; e encerramento das reclamações em 1º de maio de 2027. A pergunta que fica é simples: quantos dos 1.404 proprietários poderão apresentar uma prova que o atacante não possui?

La Rédaction C.

L'équipe éditoriale de Cointribune unit ses voix pour s’exprimer sur des thématiques propres aux cryptomonnaies, à l'investissement, au métaverse et aux NFT, tout en s’efforçant de répondre au mieux à vos interrogations.